O Comitê Nacional de Cibersegurança (CNCiber) tornou pública a minuta da Lei Geral da Cibersegurança, propondo a criação do Sistema Nacional de Cibersegurança (SNCiber) e definindo princípios, diretrizes e regras sobre o tema no Brasil. A proposta enquadra telecomunicações e infraestruturas digitais como serviços essenciais, incluindo ativos como data centers, serviços de nuvem, DNS, registro de domínios de topo e redes de distribuição de conteúdo.
Segundo o texto, operadores de infraestruturas críticas, provedores de serviços essenciais e também a União, os estados, o DF e municípios com mais de 100 mil habitantes seriam agentes obrigados de cibersegurança, com aplicação da lei também à cadeia de suprimentos desses agentes, observando normas da autoridade competente. Municípios menores teriam a obrigação prevista apenas no limite de suas condições orçamentárias.
Entre os ativos considerados na infraestrutura digital, a minuta cita data centers, cloud computing e demais componentes centrais ao crescimento do mercado de TIC, ressaltando que o marco não se limita apenas à esfera pública ou aos setores militar/ policial.
A minuta estabelece blocos mínimos de deveres, exigindo que os agentes adotem medidas técnicas, operacionais e organizacionais com base em gestão de risco. Dentre as medidas estão governança, avaliação e auditoria, proteção de ativos, controle de acesso com autenticação multifator e certificação digital, segurança no ciclo de vida, segurança da cadeia de suprimentos, testes contínuos, respostas a incidentes, continuidade de negócios e treinamento, inclusive quando houver terceirização.
No âmbito da governança, o texto cria o SNCiber como estrutura de harmonização entre órgãos federais, estaduais, distritais e municipais, com o Gabinete de Segurança Institucional (GSI) como órgão central. O Centro Nacional de Cibersegurança (CENCiber) aparece como o órgão central da Rede Nacional de Cibersegurança, responsável por coordenação, emissão de alertas e apoio técnico às ETIRs, entre outras funções. A autoridade nacional de cibersegurança passaria a possuir competências regulatória, fiscalizatória, coordenadora e sancionatória, com poderes de normas, sanções e, em situações de risco iminente, bloqueio de tráfego e desativação de ciberativos.
As sanções administrativas previstas variam desde advertência até multa de até 2% do faturamento anual da pessoa jurídica ou grupo, com teto de 50 milhões de reais por infração. Também estão previstas multa diária, suspensão de fornecimento de produtos ou serviços, proibição de acesso a incentivos públicos e outras medidas de coerção para infrações relacionadas à cibersegurança.
Apesar de prever a Autoridade Nacional de Cibersegurança, a minuta pública não define qual órgão exercerá tal função. O capítulo correspondente ficou em aberto, com menção de que o órgão responsável será “designado ou instituído” futuramente. O relatório do grupo de trabalho indica que havia uma versão anterior para cenários institucionais distintos, incluindo um modelo adaptável à atuação da Anatel como Autoridade Nacional, e que a escolha depende de restrições fiscais e de rapidez de implantação.
